DarkSword iOS Exploit Kit

정보에 따르면 TA446이라는 조직이 정교한 사이버 공격을 감행한 것으로 드러났으며, 이 조직은 Callisto, COLDRIVER, Star Blizzard 등의 가명으로 널리 알려져 있습니다. 이 공격자는 러시아 연방보안국(FSB)과 강력한 연계를 맺고 있습니다.

이 그룹은 역사적으로 계정 정보 탈취를 목적으로 하는 스피어 피싱 공격에 특화되어 왔습니다. 지난 1년 동안 이들의 전술은 진화하여 WhatsApp 계정을 표적으로 삼고, 중요 인물로부터 민감한 정보를 빼내기 위해 설계된 맞춤형 악성코드를 배포하는 방향으로 나아가고 있습니다.

iOS 기기를 상대로 다크소드를 무기화하기

최근 공개된 다크소드(DarkSword) 익스플로잇 키트를 통해 이 공격자는 애플 기기까지 공격 범위를 확장할 수 있게 되었습니다. 이는 이전 공격들이 iCloud 계정이나 iOS 생태계를 표적으로 삼지 않았던 점을 고려할 때 상당한 변화를 의미합니다.

해당 공격 도구는 정교하게 제작된 피싱 이메일을 통해 데이터 수집 악성 프로그램인 GHOSTBLADE를 유포하는 데 사용되었습니다. 이 이메일들은 애틀랜틱 카운슬에서 보낸 초대장을 가장했으며, 2026년 3월 26일 해킹된 이메일 계정을 통해 배포되었습니다. 공격 대상 중에는 레오니드 볼코프도 포함되어 있어, 이번 공격의 정치적 의도를 엿볼 수 있습니다.

주목할 만한 기술적 특징은 선택적 타겟팅입니다. 아이폰 사용자가 아닌 경우 무해한 미끼 PDF 파일로 리디렉션되는데, 이는 서버 측 필터링을 통해 호환되는 애플 기기에만 취약점을 전달하도록 설계되었음을 시사합니다.

인프라 및 악성코드 유포 기술

분석 결과, 해당 캠페인은 공격자가 제어하는 인프라를 기반으로 하는 다단계 감염 체인을 이용하는 것으로 확인되었습니다. 증거로는 DarkSword 로더 내에서 공격 과정에서 사용되는 보조 도메인에 대한 참조가 발견된 점 등이 있습니다.

관찰된 주요 기술적 요소는 다음과 같습니다.

• 리다이렉터, 익스플로잇 로더, 원격 코드 실행 메커니즘 및 포인터 인증 코드(PAC) 우회 기능을 포함한 DarkSword 익스플로잇 키트 구성 요소의 배포
• 샌드박스 탈출 기술의 부재는 부분적이지만 여전히 매우 위험한 익스플로잇 배포를 나타냅니다.
• 암호로 보호된 ZIP 압축 파일을 통해 MAYBEROBOT 백도어를 배포합니다.

타겟팅 범위 확대는 전략적 변화를 시사한다

표적 범위가 전통적인 정보 수집 목표를 훨씬 뛰어넘어 확대되었습니다. 이제 표적에는 여러 분야의 조직들이 포함됩니다.

• 정부 기관

• 싱크탱크 및 연구 기관

• 고등교육기관

• 금융 및 법률 분야

이처럼 광범위한 표적 설정 패턴은 다크소드 툴킷의 새롭게 확보한 기능을 활용한 기회주의적 전략을 시사합니다. 이번 공격은 첩보 활동과 확장 가능한 자격 증명 수집 작전을 결합한 것으로 보입니다.

위험 증가: 익스플로잇 키트 유출과 민주화

GitHub에 DarkSword가 공개되면서 상황은 더욱 복잡해졌습니다. 이번 유출로 인해 플러그 앤 플레이 방식의 익스플로잇 키트가 제공되어, 전문성이 떨어지는 공격자도 쉽게 접근할 수 있게 되었습니다.

그 파급 효과는 상당합니다.

• 국가 차원의 고도화된 사이버 공격 능력이 사이버 범죄 집단에게 접근 가능해질 수 있다.
• 모바일 위협 활동은 양과 다양성 모두에서 증가할 수 있습니다.
• iOS 기기가 본질적으로 안전하다는 인식은 상당히 약화되었습니다.

반응 신호는 심각도가 높음을 나타냅니다.

점점 커지는 위협에 대응하여 애플은 iOS 및 iPadOS 구형 버전을 사용하는 사용자에게 잠금 화면 알림을 보내는 이례적인 조치를 취했습니다. 이 알림은 웹 기반 공격 시도가 진행 중임을 경고하고 즉각적인 시스템 업데이트를 강력히 권장합니다.

이러한 선제적 조치는 위협이 특정 고위급 표적에만 국한된 것이 아니라, 사용자의 직접적인 개입이 필요할 정도로 광범위하게 퍼져 있음을 나타냅니다.

결론: 모바일 위협 환경의 전환점

다크소드(DarkSword) 익스플로잇 키트의 등장과 오용은 모바일 사이버 보안에 있어 중요한 전환점을 의미합니다. 이 공격은 고도화된 iOS 익스플로잇이 더 이상 고도의 정보 수집 작전에만 국한되지 않음을 보여줍니다. 국가 지원 전술과 공개적으로 이용 가능한 도구의 결합은 위협 환경을 재편하여, 광범위하게 확산되는 공격조차도 엘리트급 역량을 활용할 수 있게 되었습니다.